CVE-2026-97612

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: net: mpls: son etiket çıxarıldıqda inner_protocol təmizlənsin skb_mpls_push() funksiyası enkapsulyasiyadan əvvəlki şəbəkə başlığını bir dəfə, !skb->inner_protocol şərti ilə qeyd edir. skb_mpls_pop() isə həmin qeydi heç vaxt təmizləmir, buna görə də o, təsvir etdiyi enkapsulyasiyadan daha uzun müddət qalır. Open vSwitch daha sonra inner_network_header-i hələ də köhnə və daha dərin ofsetə yönləndirən paketə yenidən MPLS əlavə edə bilər: etiketi əlavə etmək, bütün etiketləri çıxarmaq, resirkulyasiya etmək (ovs_flow_key_update() key->eth.type-ni yenidən törədir və network_header-i sıfırlayır, lakin inner_* sahələrini saxlayır), sonra yenidən əlavə etmək. ovs_fragment() bu qeydə etibar edir: skb->network_header = skb->inner_network_header; beləliklə, skb_network_offset() mənfi olur. Sərhəd yoxlaması imzalıdır: if (skb_network_offset(skb) > MAX_L2_LEN) mənfi ofset bu yoxlamadan keçir və prepare_frag() dəyəri genişləndirir: unsigned int hlen = skb_network_offset(skb); memcpy(&data->l2_data, skb->data, hlen); bu isə CPU başına olan 30 baytlıq buferdən təxminən 4 GiB həcmində memcpy əməliyyatına səbəb olur. v7.3-rc1 versiyasında təkrarlandı. RDX kəsilmiş uzunluqdur, (unsigned int)(-8): BUG: unable to handle page fault for address: ffffe8ffffc16000 #PF: supervisor write access in kernel mode Oops: 0002 [#1] SMP KASAN NOPTI RIP: 0010:memcpy+0x8/0x20 RDX: 00000000fffffff8 RSI: ffff888105d732db RDI: ffffe8ffffc16000 prepare_frag+0x3df/0x4e0 ovs_fragment+0x589/0x7e0 do_output+0x4ce/0x5e0 do_execute_actions+0x55d2/0x7b30 ovs_execute_actions+0xea/0x450 Kök səbəb 975b5b067f52 ("ipv6: sr: restore network header before routing and forwarding") commit-i ilə eyni formadadır: köhnəlmiş şəbəkə başlığı ofsetinin onu genişləndirən istehlakçıya çatması. Burada bu, MPLS push/pop yolunda yaranır. Paket artıq MPLS olmadıqda inner_protocol təmizlənsin ki, sonrakı push əməliyyatı cari başlığı yenidən qeyd etsin. net/sched/act_mpls.c faylı skb_mpls_pop() funksiyasının digər yeganə çağırıcısıdır və eyni düzəlişi alır; sch_frag.c faylı fragmentasiya zamanı inner_protocol-u OVS kimi saxlayır və bərpa edir.